CVE-2026-108161

FusionPBX 5.6.5 ve öncesi sürümler, kimliği doğrulanmamış saldırganların kötü amaçlı arayan kimliği değerleri ile aramalar yaparak komut yürütmesine olanak tanıyan call_recordings::download() fonksiyonunda bir OS komut enjeksiyonu zafiyeti içermektedir. record_name dosya adı şablonu etkinleştirildiğinde, saldırganlar Arayan Kimliği adına veya numarasına $(...) gibi kabuk meta karakterlerini yerleştirebilir ve yetkili bir kullanıcı birden fazla kaydı ZIP olarak indirdiğinde komutları web sunucusu kullanıcısı olarak çalıştırabilirler.